« On lui a juste donné accès à un outil de plus, ce n’était pas prévu de le documenter » : cette phrase, prononcée pour justifier une évolution ponctuelle des droits d’un agent, décrit exactement le mécanisme par lequel un périmètre initial bien défini finit par s’élargir silencieusement, appel après appel, jusqu’à ne plus ressembler à ce qui avait été validé au départ.
Une fiche de périmètre, tenue à jour et limitée volontairement à une page, sert précisément à empêcher cette dérive progressive. Elle ne remplace pas le code de contrôle d’accès lui-même, mais elle donne à toute personne qui reprend le projet une vision immédiate de ce que l’agent est censé pouvoir faire, sans avoir à relire l’intégralité du code.
Ce que la fiche doit contenir en priorité
Une fiche de périmètre efficace tient sur une seule page, précisément pour rester consultée régulièrement plutôt que de finir oubliée dans un wiki qu’on ne rouvre jamais. Elle liste les outils que l’agent peut appeler, les données qu’il ne doit jamais consulter ou modifier, et les limites de volume qui s’appliquent à son fonctionnement.
- La liste exacte des outils ou abilities que l’agent peut appeler, nommés précisément
- Les catégories de données explicitement interdites, même si l’accès technique existe
- Les limites de volume : nombre d’appels par heure, nombre d’articles publiés par jour
- Le nom de la personne responsable de la validation de toute évolution du périmètre
Un exemple concret de fiche
Agent : redaction-brouillons-actualites
Version du perimetre : 3, validee le 2025-04-15
Outils autorises :
- creer_brouillon (categorie : actualites uniquement)
- suggerer_etiquettes
Donnees interdites :
- toute categorie hors actualites
- les commentaires des utilisateurs
- les donnees de commande WooCommerce
Limites :
- 10 brouillons par jour maximum
- aucune publication directe, statut brouillon impose
Responsable de validation : referent editorialPourquoi la datation de chaque version compte
Une fiche non datée ne permet pas de savoir si le périmètre affiché correspond réellement au code en production, ou s’il s’agit d’une version dépassée depuis plusieurs mois. Chaque évolution du périmètre doit incrémenter un numéro de version et porter une date, avec un court historique des changements successifs conservé en bas de fiche.
Le piège de l’extension par petites touches
Le danger ne vient presque jamais d’une décision unique d’élargir largement les droits d’un agent — une telle décision attirerait l’attention et serait discutée. Il vient de l’accumulation de petites extensions, chacune justifiée isolément, qui finissent par recomposer un périmètre bien plus large que celui initialement validé, sans qu’aucune revue d’ensemble n’ait eu lieu entre-temps.
Sur nos projets, la question posée avant chaque nouvelle demande d’extension est simple : cette évolution doit-elle être ajoutée à la fiche existante, ou justifie-t-elle une revue complète du périmètre ?
Qui valide une évolution du périmètre
La fiche désigne explicitement une personne responsable de la validation, distincte de la personne qui développe l’agent au quotidien. Cette séparation, simple en apparence, évite qu’une évolution de périmètre ne soit validée par la même personne qui a intérêt à la voir aboutie rapidement pour livrer une fonctionnalité demandée.
Ce que la fiche n’a pas besoin de contenir
Une fiche de périmètre efficace résiste à la tentation d’y consigner le détail technique du code — les noms de fonctions PHP, la structure exacte des requêtes SQL sous-jacentes. Ces informations vivent dans le code lui-même et sa documentation habituelle. La fiche de périmètre reste un document de gouvernance, lisible par une personne non technique, pas une documentation d’implémentation supplémentaire à maintenir en double.
À quelle fréquence relire la fiche
Une revue trimestrielle de chaque fiche de périmètre, indépendante de toute demande d’évolution ponctuelle, permet de vérifier que le code en production correspond toujours à ce qui est documenté. Cette revue prend rarement plus de dix minutes par agent quand la fiche est tenue à jour au fil de l’eau.
En résumé
Une fiche de périmètre limitée à une page, datée et versionnée, reste le moyen le plus simple d’empêcher qu’un agent en production n’élargisse silencieusement ses droits au fil des demandes ponctuelles. Sa valeur tient autant à sa concision qu’à son contenu.
